GB／T 25070-2019标准规范下载简介

GB／T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求.pdf简介：

GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》是中国信息安全等级保护制度中的一项重要标准，它是对信息系统在设计阶段应遵循的安全原则和安全控制措施的规范。该标准适用于所有类型的组织，包括政府、企业、教育机构等，对于建设、运行和维护网络安全等级保护体系具有重要的指导意义。

该标准主要分为以下几个部分：

1. 安全设计原则：包括风险管理、访问控制、安全审计、数据加密、安全防护等方面，强调在设计阶段就需要考虑如何预防、检测和应对安全威胁。

2. 安全架构设计：提出了安全域划分、边界防护、安全通信、安全服务等要求，旨在构建一个完整、安全的信息系统架构。

3. 安全控制设计：详细列出了在不同等级保护中应该实施的安全控制措施，如物理安全、网络安全、应用安全、数据安全等。

4. 安全管理体系：强调建立健全的信息安全管理体系，包括安全策略、安全管理、安全培训等。

5. 安全实施与验证：规定了安全设计的实施过程和验证方法，确保设计的安全措施能够有效实施并达到预期的安全效果。

通过遵循GB/T 25070-2019，组织可以确保其信息系统的安全性，提高网络安全等级保护的能力，降低信息安全风险。同时，这也是国家对信息系统保护能力和安全管理水平的重要评价标准。

GB／T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求.pdf部分内容预览：

保密性保护。 g）客体安全重用 应采用具有安全客体复用功能的系统软件或具有相应功能的信息技术产品，对用户使用的客 体资源，在这些客体资源重新分配前，对其原使用者的信息进行清除，以确保信息不被泄露。 h）可信验证 可基于可信根对计算节点的BIOS、引导程序、操作系统内核、应用程序等进行可信验证，并在 应用程序的关键执行环节对系统调用的主体、客体、操作可信验证，并对中断、关键内存区域等 执行资源进行可信验证，并在检测到其可信性受到破坏时采取措施恢复，并将验证结果形成审 计记录，送至管理中心。 1 配置可信检查 应将系统的安全配置信息形成基准库，实时监控或定期检查配置信息的修改行为，及时修复和 基准库中内容不符的配置信息。 亚#

8.3.1.2云安全计算环境设计技术要求

a）用户身份鉴别 应支持注册到云计算服务的云租户建立主子账号，并采用用户名和用户标识符标识主子账号 用户身份。 b 用户账号保护 应支持建立云租户账号体系，实现主体对虚拟机、云数据库、云网络、云存储等客体的访问 授权。 c）安全审计 应支持对云服务商和云租户远程管理时执行的特权命令进行审计。 应支持租户收集和查看与本租户资源相关的审计信息，保证云服务商对云租户系统和数据的 访问操作可被租户审计。 d）人侵防范 应能检测到虚拟机对宿主机物理资源的异常访问。应支持对云租户进行行为监控，对云租户 发起的恶意攻击或恶意对外连接进行检测和告警。 e 数据保密性保护 应提供重要业务数据加密服务，加密密钥由租户自行管理；应提供加密服务，保证虚拟机在迁 移过程中重要数据的保密性。 数据备份与恢复 应采取穴余架构或分布式架构设计；应支持数据多副本存储方式；应支持通用接口确保云租户 可以将业务系统及数据迁移到其他云计算平台和本地系统，保证可移植性。 g 虚拟化安全 应实现虚拟机之间的CPU、内存和存储空间安全隔离，能检测到非授权管理虚拟机等情况，并 进行告警；应禁止虚拟机对宿主机物理资源的直接访问，应能对异常访问进行告警；应支持不 同云租户虚拟化网络之间安全隔离；应监控物理机、宿主机、虚拟机的运行状态 h）恶意代码防范 物理机和宿主机应安装经过安全加固的操作系统或进行主机恶意代码防范；虚拟机应安装经 过安全加固的操作系统或进行主机恶意代码防范；应支持对Web应用恶意代码检测和防护的

万科上海春申假日风景U5全装修资料集-88页.pdfGB/T250702019

能力。 i） 镜像和快照安全 应支持镜像和快照提供对虚拟机镜像和快照文件的完整性保护；防止虚拟机镜像、快照中可能 存在的敏感资源被非授权访问；针对重要业务系统提供安全加固的操作系统镜像或支持对操 作系统镜像进行自加固

8.3.1.3移动互联安全计算环境设计技术要求

本项要求包括： a） 用户身份鉴别 应对移动终端用户实现基于口令或解锁图案、数字证书或动态口令、生物特征等方式的两种或 两种以上的组合机制进行用户身份鉴别， b 标记和强制访问控制 应确保用户或进程对移动终端系统资源的最小使用权限；应根据安全策略，控制移动终端接入 访问外设，外设类型至少应包括扩展存储卡、GPS等定位设备、蓝牙、NFC等通信外设，并记录 日志。 应用管控 应具有软件白名单功能，能根据白名单控制应用软件安装、运行；应提供应用程序签名认证机 制，拒绝未经过认证签名的应用软件安装和执行。 d 安全域隔离 应能够为重要应用提供基于容器、虚拟化等系统级隔离的运行环境，保证应用的输人、输出、存 储信息不被非法获取。 e 移动设备管控 5Z1C 应基于移动设备管理软件，实行对移动设备全生命周期管控，保证移动设备去失或被盗后，通 过网络定位搜寻设备的位置、远程锁定设备、远程擦除设备上的数据、使设备发出警报音，确保 在能够定位和检索的同时最大程度地保护数据。 数据保密性保护 应采取加密、混淆等措施，对移动应用程序进行保密性保护，防止被反编译；应实现对扩展存储 设备的加密功能，确保数据存储的安全。 8 可信验证 应能对移动终端的引导程序、操作系统内核、应用程序等进行可信验证，确保每个部件在加载 前的真实性和完整性

8.3.1.4物联网系统安全计算环境设计技术要求

本项要求包括： a）感知层设备身份鉴别 应采用密码技术支持的鉴别机制实现感知层网关与感知设备之间的双向身份鉴别，确保数据 来源于正确的设备；应对感知设备和感知层网关进行统一入网标识管理和维护，并确保在整个 生存周期设备标识的唯一性；应采取措施对感知设备组成的组进行组认证以减少网络拥塞。 b 感知层设备访问控制 应通过制定安全策略如访问控制列表，实现对感知设备的访问控制；感知设备和其他设备（感 知层网关、其他感知设备)通信时，根据安全策略对其他设备进行权限检查；感知设备进行更新 配置时.根据安全策略对用户进行权限检查

GB/T25070—2019

3.1.5工业控制系统安全计算环境设计技术要求

8.3.2安全区域边界设计技术要求

8.3.2.1通用安全区域边界设计技术要求

本项要求包括： 区域边界访问控制 应在安全区域边界设置自主和强制访问控制机制，应对源及目标计算节点的身份、地址、端口 和应用协议等进行可信验证，对进出安全区域边界的数据信息进行控制，阻止非授权访问。 b) 区域边界包过滤 应根据区域边界安全控制策略，通过检查数据包的源地址、目的地址、传输层协议、请求的服务 等，确定是否允许该数据包进出该区域边界。 C 区域边界安全审计 应在安全区域边界设置审计机制，由安全管理中心集中管理，并对确认的违规行为及时报警 d 区域边界完整性保护 应在区域边界设置探测器，例如外接探测软件，探测非法外联和入侵行为，并及时报告安全管

GB/T250702019

理中心。 e 可信验证 可基于可信根对计算节点的BIOS、引导程序、操作系统内核、区域边界安全管控程序等进行可 信验证，并在区域边界设备运行过程中定期对程序内存空间、操作系统内核关键内存区域等执 行资源进行可信验证，并在检测到其可信性受到破坏时采取措施恢复，并将验证结果形成审计 记录，送至管理中心

8.3.2.2云安全区域边界设计技术要求

本项要求包括： a）区域边界结构安全 应保证虚拟机只能接收到目的地址包括自已地址的报文或业务需求的广播报文，同时限制广 播攻击；应实现不同租户间虚拟网络资源之间的隔离，并避免网络资源过量占用；应保证云计 算平台管理流量与云租户业务流量分离 应能够识别、监控虚拟机之间、虚拟机与物理机之间的网络流量；提供开放接口或开放性安全 服务，允许云租户接入第三方安全产品或在云平台选择第三方安全服务。 b）区域边界访问控制 应保证当虚拟机迁移时，访问控制策略随其迁移；应充许云租户设置不同虚拟机之间的访问控 制策略；应建立租户私有网络实现不同租户之间的安全隔离；应在网络边界处部署监控机制， 对进出网络的流量实施有效监控。 区域边界入侵防范 当虚拟机迁移时，入侵防范机制可应用于新的边界处；应将区域边界入侵防范机制纳入安全管 理中心统一管理。 应向云租户提供互联网内容安全监测功能，对有害信息进行实时检测和告警。 区域边界审计要求 根据云服务商和云租户的职责划分，收集各自控制部分的审计数据；根据云服务商和云租户的 职责划分，实现各自控制部分的集中审计；当发生虚拟机迁移或虚拟资源变更时，安全审计机 制可应用于新的边界处；为安全审计数据的汇集提供接口，并可供第三方审计

8.3.2.3.1区域边界访问控制

应对接入系统的移动终端，采取基于SIM卡、证书等信息的强认证措施；应能限制移动设备在 作场景下对WiFi、3G、4G等网络的访问能力

8.3.2.3.2区域边界完整性保护

移动整端区域边界检测设 完整覆盖移动终端办公区，并具备无线路由器设备位 功能，对于非法无线路由器设备接入进行报警和阻断

8.3.2.4物联网系统安全区域边界设计技术要求

应能根据数据的时间戳为数据流提供明确的允许/拒绝访问的能力；应提供网络最大流量及网 络连接数限制机制 据包的出入

b）区域边界准人控制 应在安全区域边界设置准入控制机制，能够对设备进行认证，保证合法设备接入，拒绝恶意设 备接入；应根据感知设备特点收集感知设备的健康性相关信息如固件版本、标识、配置信息校 验值等，并能够对接入的感知设备进行健康性检查。 C 区域边界协议过滤与控制 应在安全区域边界设置协议过滤，能够对物联网通信内容进行过滤，对通信报文进行合规检 查，根据协议特性，设置相对应控制机制

3.2.5工业控制系统安全区域边界设计技术要求

a 工控通信协议数据过滤 对通过安全区域边界的工控通信协议，应能识别其所承载的数据是否会对工控系统造成攻击 或破坏，应控制通信流量、数量频度、变量的读取频度稳定且在正常范围内，保护控制器的工 作节奏，识别和过滤写变量参数超出正常范围的数据，该控制过滤处理组件可配置在区域边界 的网络设备上，也可配置在本安全区域内的工控通信协议的端点设备上或唯一的通信链路设 备上。 b） 工控通信协议信息泄露防护 应防止暴露本区域工控通信协议端点设备的用户名和登录密码，采用过滤变换技术隐藏用户 名和登录密码等关键信息，将该端点设备单独分区过滤及其他具有相应防护功能的一种或一 种以上组合机制进行防护 C 工控区域边界安全审计 应在安全区域边界设置实时监测告警机制，通过安全管理中心集中管理，对确认的违规行为及 时向安全管理中心和工控值守人员报警并做出相应处置

GB／T 18916.18-2015 取水定额 第18部分：铜冶炼生产8.3.3安全通信网络设计技术要求

8.3.3.1通用安全通信网络设计技术要求

本项要求包括： a）通信网络安全审计 应在安全通信网络设置审计机制，由安全管理中心集中管理，并对确认的违规行为进行报警。 b） 通信网络数据传输完整性保护 应采用由密码技术支持的完整性校验机制，以实现通信网络数据传输完整性保护，并在发现完 整性被破坏时进行恢复 通信网络数据传输保密性保护 应采用由密码技术支持的保密性保护机制，以实现通信网络数据传输保密性保护。 可信连接验证 通信节点应采用具有网络可信连接保护功能的系统软件或可信根支撑的信息技术产品，在设 备连接网络时，对源和目标平台身份、执行程序及其关键执行环节的执行资源进行可信验证， 井将验证结果形成审计记录，送至管理中心

8.3.3.2云安全通信网络设计技术要求

秀山花园住宅建筑施工图本项要求包括： a）通信网络数据传输保密性

GB/T250702019